NIS2-Risikomanagementpflicht · § 30 Abs. 2 Nr. 1 BSIG
Risikoanalyse & Konzepte für Informationssicherheit
NIS2 verlangt ein dokumentiertes Risikomanagement: Sie müssen die Risiken für Ihre Netz- und Informationssysteme systematisch ermitteln, bewerten und mit angemessenen Maßnahmen behandeln. Dazu gehören Konzepte und Richtlinien für die Informationssicherheit.
Warum diese Pflicht wichtig ist
Die Risikoanalyse ist das Fundament aller weiteren NIS2-Pflichten. Ohne sie lässt sich nicht begründen, welche Maßnahmen angemessen sind, und die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG).
So setzen Sie die Pflicht um
- 1Geltungsbereich und schützenswerte Werte (Assets) festlegen
- 2Bedrohungen und Schwachstellen je Asset ermitteln
- 3Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe bewerten
- 4Risikobehandlung festlegen (vermeiden, vermindern, übertragen, akzeptieren)
- 5Sicherheitsrichtlinien ableiten und durch die Leitung freigeben lassen
Diese Nachweise erwartet die Aufsicht
- Dokumentiertes Risikoregister mit Bewertung und Behandlung
- Von der Leitung freigegebene Informationssicherheitsrichtlinie
- Nachweis regelmäßiger Aktualisierung der Risikoanalyse
Häufige Fehler
Einmalige Analyse
Die Risikoanalyse wird einmal erstellt und nie aktualisiert. NIS2 verlangt einen fortlaufenden Prozess.
Keine Behandlung
Risiken werden erfasst, aber es wird nicht entschieden, was dagegen getan wird.
Passende ISO-27001-Controls
Wer ISO 27001 umsetzt, erfüllt diese NIS2-Pflicht weitgehend mit. Diese Annex-A-Controls decken den Bereich ab:
Häufig gestellte Fragen
Welche Methode muss ich für die Risikoanalyse nutzen?
NIS2 schreibt keine konkrete Methode vor. Ein an ISO 27005 oder dem BSI-Standard 200-3 orientiertes, nachvollziehbares Vorgehen ist anerkannt.
Wie oft muss die Risikoanalyse wiederholt werden?
Regelmäßig und anlassbezogen, etwa bei wesentlichen Änderungen der IT, neuen Bedrohungen oder nach Vorfällen. Üblich ist mindestens jährlich.
Haftet die Geschäftsführung wirklich persönlich?
Ja, gegenüber der Einrichtung. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung gegenüber für den entstandenen Schaden (§ 38 Abs. 2 BSIG). Bußgelder nach § 65 BSIG treffen dagegen die Einrichtung.
Risikoanalyse mit CompliantDesk umsetzen
CompliantDesk deckt diesen Bereich mit folgenden Modulen ab: NIS2-Check · Risiko-Register · Richtlinien. Starten Sie mit dem kostenlosen NIS2-Check.